Now Reading
Хакерская группировка Fancy Bear, предположительно связанная с властями РФ.
1240 31

Хакерская группировка Fancy Bear, предположительно связанная с властями РФ.

by Dmitry TsepilovanMarch 19, 2018

Исследователи безопасности из компании Palo Alto Networks сообщилио новой фишинговой кампании, за которой стоит хакерская группировка Fancy Bear, предположительно связанная с властями РФ.

По словам исследователей, активность хакеров была зафиксирована дважды, 12 и 14 марта 2018 года. Для осуществления атак группировка использует обновленную версию платформы DealersChoice, которая эксплуатирует уязвимость в Adobe Flash для скрытой доставки вредоносного ПО.

Обновленная версия DealersChoice использует новую технику ухода от обнаружения. В частности, вредоносный модуль загружается только тогда, когда просматривается конкретная страница вредоносного документа, содержащегося в фишинговых письмах.

Жертвой фишинга стала некая европейская правительственная организация (название не раскрывается). Сотрудники организации получили письма с темой «Оборона и безопасность 2018». Письма содержат документ MS Word, озаглавленный «Defence & Security 2018 Conference Agenda.docx».

Как отметили исследователи, атакующие полностью скопировали повестку дня реальной конференции, которая состоится в Великобритании. Если пользователь открывает вложение Microsoft Word, объект Flash, содержащий вредоносный скрипт, пытается установить полезную нагрузку, однако скрипт запускается только в том случае, если жертва прокрутит документ до третьей страницы.

«Судя по всему хакеры уверены в том, что их цели будут достаточно заинтересованы в содержании, чтобы прокрутить документ до 3 страницы», – отметили эксперты.

По словам специалистов, вредоносный Flash-объект не запускается до тех пор, пока пользователь не дойдет до третьей страницы, поскольку SWF-загрузчик DealersChoice не активируется до тех пор, пока не появится на экране. Данная тактика помогает вредоносу избежать обнаружения. Вредоносный Flash-объект отображается как маленькая черная точка, которую многие пользователи могут просто не заметить.

После активации Flash-объект связывается с C&C-сервером для загрузки дополнительного вредоносного ПО, которое содержит код эксплоита.

Исследователи связали данную кампанию с Fancy Bear, поскольку в свойствах документа имя пользователя, в последний раз вносившего изменения, было обозначено как Nick Daemoji. Данное имя пользователя фигурировало в предыдущих кампаниях Fancy Bear.

Подписывайтесь на канал “Engine.MD” в Telegram, чтобы первыми узнавать о новостях и эксклюзивных материалах.

What's your reaction?
Love It
0%
Interested
0%
Meh...
0%
What?
0%
Hate It
0%
Sad
0%
About The Author
Dmitry Tsepilovan
I've always had the ability to see the bigger picture and work towards a greater goal.